Kurum Hesabıyla Giriş: Parola, Rol ve Acil Durum Hesabı Nerede Durmalı?

Bir yönetişim aracına kurum hesabıyla giriş, ilk bakışta bir kolaylık gibi görünür: bir parola daha akılda tutulmaz. Asıl değeri güvenlik tarafındadır. Yönetişim aracı, kimin neyi onayladığını kaydeden yerdir; oraya kimin girdiği sorusu yanlış cevaplanırsa kaydın geri kalanı da değerini kaybeder. Bu yazı dört kararı anlatıyor: parola, rol, ayrılan çalışan ve acil durum hesabı.

Parola Nerede Durmalı

Cevap: yalnızca kimlik sağlayıcıda. Kullanıcı düğmeye basar, tarayıcısı kimlik sağlayıcının kendi sayfasına gider, parolasını ve ikinci adımını orada yazar ve ürüne imzalı bir cevapla döner. Ürün bu cevabı doğrular; parola ürüne hiç uğramaz. Bu yüzden üründe çalınacak bir parola, unutulacak bir sıfırlama akışı ve ikinci faktörün ayrıca yönetileceği bir yer kalmaz. İkinci adımı kurum kendi sisteminde, kendi politikasıyla yönetir.

Rol Nereden Gelmeli

Kimlik doğrulamak kişinin kim olduğunu söyler, ne yapabileceğini söylemez. En sağlıklı yöntem rolü kimlik sağlayıcıdaki gruptan atamaktır: BT kişiyi 'DBA Ekibi' grubuna ekler, ürün rolünü verir; gruptan çıkarır, yetki düşer. Üç kural bu eşlemeyi güvenli yapar. Birden fazla grup eşleşirse en yüksek rol kazanır. Hiçbir grup eşleşmezse kişi içeri girmez, sessizce düşük yetkiyle alınmaz. Ve en yetkili rol, yani sistem yöneticisi, hiçbir grup eşlemesiyle verilmez. Aksi halde kimlik sistemindeki bir grup düzenlemesi ürünün en yetkili rolünü dağıtabilirdi ve bu, iki ayrı sistemin yöneticilerini birbirinden habersiz bir yetki zincirine bağlardı. Rolü elle yönetmek isteyen kurum eşlemeyi kapatabilir.

İşten Ayrılan Ne Zaman Kapanır

Kurum hesabı kimlik sisteminde kapandığında yeni oturum açılamaz. Ama açık bir oturum varsa? Erişim jetonları belli bir süre geçerli kalır ve çoğu sistemde bu süre boyunca yetki fiilen sürer. Doğru davranış, ürün tarafında bir kullanıcının oturumlarını kapatmanın hem yenileme jetonlarını iptal etmesi hem de elde kalan erişim jetonunu bir sonraki istekte reddettirmesidir. Oturumun kendiliğinden sona ermesi beklenmemelidir. Kimlik sistemi ile ürün arasında hesap kapama konusunda iki farklı hız olabilir; değerlendirirken sorulacak soru, ürünün kendi tarafındaki iptalin ne kadar sürede etkili olduğudur.

Kimlik Sistemi Çökerse Kapı Ne Olur

Yalnızca kimlik sağlayıcıya bağlı bir yönetişim aracı, kimlik sağlayıcı çöktüğünde kilitlenir. Üretimde bir yangın varken yönetişim aracına girememek, aracın en kötü tasarım sonucudur. Bu yüzden yerel bir acil durum girişi bulunmalıdır. Ama bu kapının sessiz kalması kabul edilemez: SSO açıkken yerel parolayla girilmesi, denetim izinde olağan bir giriş olarak değil, ayrı bir olay olarak görünmeli ve SOC'a alarm olarak gitmelidir. Böylece acil durum hesabı gerçekten acil durumda kullanılıyor mu sorusu her sabah tek satırda cevaplanır. Aynı şekilde, kimlik sağlayıcıdan gelen sahte ya da tekrar oynatılmış bir kimlik cevabı da süzgeçten etkilenmeden SOC'a gitmelidir.

OpenID Connect mi, SAML mı

İkisi de aynı işi yapar: kimlik sağlayıcının imzalı cevabını ürüne taşır. OpenID Connect yetki kodu akışıyla ve PKCE ile çalışır; Entra ID, Keycloak ve Okta bu dili konuşur. SAML 2.0 HTTP-POST ile döner; AD FS, Entra ID ve Keycloak bunu konuşur. Kurumun seçimi genellikle mevcut kimlik sisteminin neyi daha iyi desteklediğine bağlıdır. Önemli olan, ürünün ikisini de desteklemesi ve birden fazla sağlayıcının aynı anda tanımlanabilmesidir; hatalı tanımlanmış bir sağlayıcı kullanılmamalı ve diğerlerini ya da yerel girişi etkilememelidir.

Ürün Değerlendirirken Sorulacak Altı Soru

1. Parola ürüne hiç geliyor mu, yoksa yalnızca kimlik sağlayıcıda mı kalıyor?
2. Birden fazla grup eşleşirse hangi rol kazanıyor, hiçbiri eşleşmezse ne oluyor?
3. En yetkili rol grup eşlemesiyle verilebiliyor mu?
4. Bir kullanıcının oturumları kapatıldığında elde kalan erişim jetonu ne zaman geçersiz oluyor?
5. Kimlik sistemi çökerse ürüne giriş yolu var mı, ve bu yol kullanıldığında kayda ve SOC'a ne düşüyor?
6. Hatalı tanımlanmış bir sağlayıcı diğerlerini ya da yerel girişi etkiliyor mu?

İlk üç soru yetkinin nereden geldiğini, son üç soru o yetkinin ne zaman ve nasıl geri alındığını gösterir. Bir ürün ikinci grubu net cevaplayamıyorsa, kurum hesabıyla giriş bir kolaylık olmaktan öteye geçmez.

Sık Sorulan Sorular

Veritabanı yönetişim aracına Entra ID ya da AD FS ile giriş yapılabilir mi?

Evet. OpenID Connect ve SAML 2.0 desteklenir; Entra ID, AD FS, Keycloak ve Okta gibi kimlik sağlayıcılarla çalışacak şekilde tasarlanmıştır. Kullanıcı parolasını kimlik sağlayıcının sayfasına yazar, ürüne parola gelmez. Yerel bir Keycloak ile uçtan uca doğrulandı; Entra ID ve AD FS için kurulum adımları hazırdır ve kurumunuzun kiracısıyla ilk kurulumda birlikte doğrulanır.

SSO'da yönetici yetkisi gruptan mı gelmeli?

Hayır. Ürün rolü kimlik sağlayıcıdaki gruptan atanabilir ama sistem yöneticisi rolü hiçbir eşlemeyle verilmez. Bir grup eşlemesine yazılmış olsa bile yok sayılır. Böylece kimlik sistemindeki bir grup değişikliği, ürünün en yetkili rolünü sessizce dağıtamaz.

SSO açıkken yerel hesapla giriş yapılırsa ne olur?

Giriş yapılabilir, çünkü kimlik sistemi çökerse ürünün kapısı da kapanmamalıdır. Ama bu bir acil durum girişidir: olağan giriş kaydına ek olarak ayrı bir olay yazılır ve SOC'a alarm olarak gider. Denetçi 'SSO varken yerel hesapla kim girdi' sorusunu tek satırda görür.